Google teilt auf seinem Android Security Bulletin mit, dass es in Android 11, 12, 12L und 13 zwei kritische Sicherheitslücken gibt. Wer ein Android-Gerät mit aktuellen Support hat, sollte die Systemaktualisierung manuell anstoßen, um zu prüfen, ob das März-Sicherheitsupdate für sein Gerät bereits vorliegt.
In seinem Android-Sicherheitsbulletin März 2023 informiert Google über die kritischen Schwachstellen CVE-2023-20951 und CVE-2023-20954. Beide schwerwiegenden Schwachstellen können zur Remotecodeausführung führen, ohne dass zusätzliche Ausführungsberechtigungen erforderlich sind. Für die Nutzung ist keine Benutzerinteraktion erforderlich. Wer ein Gerät mit aktuellem Support hat, sollte daher die Systemaktualisierung prüfen, ob sie nicht bereits ein Sicherheitsupdate bereitstellt.
Google hat die Hersteller informiert
Laut dem Security-Bulletin wurden die Hersteller zeitig informiert, dass diese ihre Sicherheit-Patches anpassen können. Die Lücke betrifft laut Google alle Geräte, auch welche die nicht vom Nutzer gerootet wurden. Ebenfalls empfohlen ist das Update von Google Play. Hier reicht ein antippen der Funktion, damit die das Gerät die Version prüft.
Es dauert teilweise recht lange, bis das Sicherheitsupdate von den Herstellern ausgerollt wird. Normalerweise wird ein verfügbares Update direkt am Gerät automatisch gemeldet. Manche Spezialisten empfehlen allerdings auf ein verfügbares Update immer wieder ab und zu manuell zu prüfen.
Auch das Framwork betroffen
Auch das sogenannte Framework weist einige Sicherheitslücken auf. Alle diese Schwachstellen werden allerdings nur als Hoch und nicht als Kritisch eingestuft und betreffen bis auf eine Ausnahme ebenfalls die Android-Versionen 11, 12, und 13. Ein kommendes Sicherheitsupdate für den März wir auch gleich diese Probleme lösen: CVE-2023-20906, CVE-2023-20911, CVE-2023-20917, CVE-2023-20947, CVE-2023-20963, CVE-2023-20956, CVE-2023-20958, CVE-2023-20964.
Die schwerwiegendste Schwachstelle in diesen CVEs könnte zu einer lokalen Eskalation der Rechte führen, nachdem eine Anwendung auf ein höheres Ziel-SDK aktualisiert wurde, ohne dass zusätzliche Ausführungsrechte erforderlich sind.
Mehr bei Android.com